Aggregator

UAE Central Bank Tells FIs to Drop SMS, OTP Authentication

1 month 3 weeks ago

Banking Sector Faces Challenges in Meeting March 2026 Compliance Deadline
The Central Bank of UAE has issued a directive asking financial institutions to eliminate weak authentication methods including SMS and email OTPs. Banks are also expected to implement real-time fraud monitoring and suspend sessions when malicious activity is detected.

BladedFeline: Whispering in the dark

WeLiveSecurity

1 month 3 weeks ago

ESET researchers analyzed a cyberespionage campaign conducted by BladedFeline, an Iran-aligned APT group with likely ties to OilRig

Iranian APT 'BladedFeline' Hides in Network for 8 Years

darkreading

1 month 3 weeks ago

ESET published research on the Iranian APT "BladedFeline," which researchers believe is a subgroup of the cyber-espionage entity APT34.

Alexander Culafi, Senior News Writer, Dark Reading

CVE-2009-4192 | Interspire Knowledge Manager 5 path traversal (EDB-33262 / BID-36541)

Vuldb Updates

1 month 3 weeks ago

A vulnerability was found in Interspire Knowledge Manager 5 and classified as problematic. This issue affects some unknown processing. The manipulation leads to path traversal. The identification of this vulnerability is CVE-2009-4192. The attack may be initiated remotely. Furthermore, there is an exploit available.

vuldb.com

CVE-2010-0371 | Hitmaaan Hitmaaan Gallery 1.3 index.php cross site scripting (EDB-34118 / XFDB-55704)

Vuldb Updates

1 month 3 weeks ago

A vulnerability was found in Hitmaaan Hitmaaan Gallery 1.3. It has been declared as problematic. This vulnerability affects unknown code of the file index.php. The manipulation leads to cross site scripting. This vulnerability was named CVE-2010-0371. The attack can be initiated remotely. Furthermore, there is an exploit available.

vuldb.com

公安部通报35款APP存在违法违规收集使用个人信息，涉及 “智能问答、出行规划、视频剪辑 ” 多领域

嘶吼

1 month 3 weeks ago

近日，依据《网络安全法》《个人信息保护法》等法律法规，按照《中央网信办、工业和信息化部、公安部、市场监管总局关于开展2025年个人信息保护系列专项行动的公告》要求，经公安部计算机信息系统安全产品质量监督检验中心检测，在应用宝中35款移动应用存在违法违规收集使用个人信息情况。

1、未以结构化清单的方式逐一列出收集、使用个人信息规则。涉及 12 款移动应用如下：

《智慧 AI 聊天》（版本 1.4.0）、《虚拟恋爱 AI》（版本 1.1.3）、《轻抖》（版本 V3.2.400）、《剪辑软件》（版本 1.1.2）、《视频剪辑》（版本 26.9.82）、《爱剪》（版本 V1.0.0）、《视频编辑剪辑 cut》（版本 1.0.2）、《妙剪》（版本 1.55）、《智能出行》（版本 1.0.2）、《创游世界》（版本 1.56.0）、《AI音乐学园》（版本 7.1.1）、《台铃电动》（版本 3.3.5）。

2、实际收集的个人信息超出用户授权范围。涉及 18 款移动应用如下：

《智谱清言》（版本 2.9.6）、《Wink》（版本 2.7.0）、《剪印》（版本 24.03.26）、《抖影视频剪辑》（版本 1.2.8）、《Pr 视频剪辑》（版本 2.7.5）、《爱剪辑》（版本 80.21.0）、《免费剪辑视频》（版本 v1.1.8）、《剪辑软件》（版本 1.1.2）、《AI 视频成片》（版本 3.2.0）、《视频剪辑》（版本 26.9.82）、《妙剪》（版本 1.55）、《自律锁机》（版本 24.08.10）、《画世界》（版本 2.9.8）、《QCY》（版本 4.0.8）、《智能出行》（版本 1.0.2）、《创游世界》（版本 1.56.0）、《AVmini》（版本 4.2.0.12）、《小白学习打印》（版本 4.17.4）。

3、个人信息保护政策中描述收集的个人信息与业务功能无直接关联。涉及 2 款移动应用如下：

《AI 智能秘书》（版本 1.0.25）、《抖影视频剪辑》（版本 1.2.8）。

4、在配置文件中声明与移动应用的所有业务功能均没有直接关联的权限。涉及 8 款移动应用如下：

《AI 智能秘书》（版本 1.0.25）、《智慧 AI 聊天》（版本 1.4.0）、《AI 对话专家》（版本 1.0.17）、《QCY》（版本 4.0.8）、《来音吉他》（版本 3.5.8）、《台铃电动》（版本 3.3.5）、《Wow》（版本 1.16.5）、《猫箱》（版本 1.57.0）。

5、申请的可收集个人信息的权限与业务功能没有直接关联。涉及 1 款移动应用如下：

《AVmini》（版本 4.2.0.12）。

6、提前要求用户授权当前未使用的特定功能所需的权限。涉及 2 款移动应用如下：

《AI 剪辑》（版本 20.5）、《视频剪辑王》（版本 1.2.3）。

7、提前要求用户填写当前未使用的特定功能需要的个人信息。涉及 2 款移动应用如下：

《小白学习打印》（版本 4.17.4）、《台铃电动》（版本 3.3.5）。

8、实际收集的个人信息与业务功能没有直接关联。涉及 2 款移动应用如下：

《Kimi》（版本 2.0.8）、《Wink》（版本 2.7.0）。

9、实际收集个人信息的频率与业务功能没有直接关联。涉及 10 款移动应用如下：

《ChatGreat》（版本 1.1.3）、《虚拟恋爱 AI》（版本 1.1.3）、《轻抖》（版本 V3.2.400）、《免费剪辑视频》（版本 v1.1.8）、《剪辑软件》（版本 1.1.2）、《妙剪》（版本 1.55）、《创游世界》（版本 1.56.0）、《AVmini》（版本 4.2.0.12）、《台铃电动》（版本 3.3.5）、《Wow》（版本 1.16.5）。

10、未向用户提供更正或补充其个人信息的具体途径。涉及 1 款移动应用如下：

《ChatGreat》（版本 1.1.3）。

11、广告存在误导、欺骗用户行为。涉及 5 款移动应用如下：

《AI Genie》（版本 2.9.0）、《虚拟恋爱 AI》（版本 1.1.3）、《免费剪辑视频》（版本 v1.1.8）、《视频剪辑王》（版本 1.2.3）、《视频编辑剪辑 cut》（版本 1.0.2）。

来源：国家网络安全通报中心

APP 深度融入生活，智能问答、出行规划、视频剪辑等便利触手可及。然而，部分应用在便捷背后暗藏隐患，存在违规收集个人信息的行为。它们通过捆绑强制授权、诱导用户点击同意等不当手段，过度获取用户隐私。这不仅违背了用户意愿，更显著增加了个人信息泄露的风险，使广大用户暴露于潜在的安全威胁之中。

破解“问题APP”困局，关键在“防”与“责”。个人用户应提升防范意识：官方渠道下载、审慎授权、使用强密码并开启多重验证，对可疑应用保持警惕。移动应用运营者则必须切实履行主体责任：恪守“最小必要”原则收集数据，确保用户知情权与选择权。用户与企业协同共守，筑牢个人信息安全屏障。

梆梆安全

我们开源了一款 AI 驱动的 Wiki 知识库

xray社区

1 month 3 weeks ago

大家好，经过一个月的内测，我们昨天刚刚开源了一款 AI 驱动的 Wiki 项目，叫做 PandaWiki。

Windows отдыхает: Минцифры хочет родную ОС в каждый ноут

Securitylab.ru

1 month 3 weeks ago

Российская ОС будет ждать тебя ещё до первого включения.

CVE-2025-2892 | smub All in One SEO Plugin up to 4.8.1.1 on WordPress Canonical URL Parameter cross site scripting

Vuldb Updates

1 month 3 weeks ago

A vulnerability classified as problematic was found in smub All in One SEO Plugin up to 4.8.1.1 on WordPress. Affected by this vulnerability is an unknown functionality of the component Canonical URL Parameter Handler. The manipulation leads to cross site scripting. This vulnerability is known as CVE-2025-2892. The attack can be launched remotely. There is no exploit available.

vuldb.com

CVE-2025-2892 | smub All in One SEO Plugin up to 4.8.1.1 on WordPress Canonical URL Parameter cross site scripting

Vuldb Updates

1 month 3 weeks ago

A vulnerability, which was classified as problematic, has been found in smub All in One SEO Plugin up to 4.8.1.1 on WordPress. Affected by this issue is some unknown functionality of the component Canonical URL Parameter Handler. The manipulation leads to cross site scripting. This vulnerability is handled as CVE-2025-2892. The attack may be launched remotely. There is no exploit available.

vuldb.com

CVE-2025-48881 | valtimo-backend-libraries up to 11.3.3.RELEASE/12.12.0.RELEASE authorization (GHSA-965r-9cg9-g42p)

Vuldb Updates

1 month 3 weeks ago

A vulnerability, which was classified as critical, has been found in valtimo-backend-libraries up to 11.3.3.RELEASE/12.12.0.RELEASE. Affected by this issue is some unknown functionality. The manipulation leads to incorrect authorization. This vulnerability is handled as CVE-2025-48881. The attack may be launched remotely. There is no exploit available.

vuldb.com

CVE-2025-48951 | auth0 Auth0-PHP up to 8.13.x Cookie deserialization (GHSA-v9m8-9xxp-q492 / EUVD-2025-16787)

Vuldb Updates

1 month 3 weeks ago

A vulnerability was found in auth0 Auth0-PHP up to 8.13.x. It has been declared as critical. Affected by this vulnerability is an unknown functionality of the component Cookie Handler. The manipulation leads to deserialization. This vulnerability is known as CVE-2025-48951. The attack can be launched remotely. There is no exploit available. It is recommended to upgrade the affected component.

vuldb.com

CVE-2025-43923 | Unicom Focal Point 7.6.1 ReportController image sql injection (EUVD-2025-16749)

Vuldb Updates

1 month 3 weeks ago

A vulnerability was found in Unicom Focal Point 7.6.1 and classified as critical. This issue affects some unknown processing of the component ReportController. The manipulation of the argument image leads to sql injection. The identification of this vulnerability is CVE-2025-43923. The attack may be initiated remotely. There is no exploit available.

vuldb.com

CVE-2025-43924 | Unicom Focal Point 7.6.1 loginpage SettingController val cross site scripting (EUVD-2025-16748)

Vuldb Updates

1 month 3 weeks ago

A vulnerability classified as problematic has been found in Unicom Focal Point 7.6.1. This affects the function SettingController of the file /fp/admin/settings/loginpage. The manipulation of the argument val leads to cross site scripting. This vulnerability is uniquely identified as CVE-2025-43924. It is possible to initiate the attack remotely. There is no exploit available.

vuldb.com

CVE-2025-46548 | Apache Pekko Management up to 1.1.0 Java DSL improper authentication (EUVD-2025-16746)

Vuldb Updates

1 month 3 weeks ago

A vulnerability was found in Apache Pekko Management up to 1.1.0. It has been classified as critical. This affects an unknown part of the component Java DSL. The manipulation leads to improper authentication. This vulnerability is uniquely identified as CVE-2025-46548. The attack needs to be initiated within the local network. There is no exploit available. It is recommended to upgrade the affected component.

vuldb.com

CVE-2025-4598 | systemd-coredump SUID race condition (EUVD-2025-16486 / Nessus ID 237502)

Vuldb Updates

1 month 3 weeks ago

A vulnerability, which was classified as problematic, was found in systemd-coredump. This affects an unknown part of the component SUID Handler. The manipulation leads to race condition. This vulnerability is uniquely identified as CVE-2025-4598. An attack has to be approached locally. Furthermore, there is an exploit available. It is recommended to change the configuration settings.

vuldb.com

Critical flaw in Cisco ISE impacts cloud deployments on AWS, Microsoft Azure, and Oracle Cloud Infrastructure

Security Affairs

1 month 3 weeks ago

Cisco fixed a critical flaw in the Identity Services Engine (ISE) that could allow unauthenticated attackers to conduct malicious actions. A vulnerability tracked as CVE-2025-20286 (CVSS score 9.9) in cloud deployments of Cisco ISE on AWS, Microsoft Azure, and Oracle Cloud Infrastructure allows unauthenticated remote attackers to access sensitive data, perform limited administrative actions, modify […]

Pierluigi Paganini